10月底那几天，不少人的 NAS 是这么"坏"的：晚上想给娃放动画片，放不了；队友回来顺手重启了下服务器，然后就怎么都不行了。登进控制台才发现，文件全被加上 `.L0CK3D` 后缀，每个文件夹底下一封 `read-me3.txt`，署名 C3RB3R。知乎
群晖随后发公告提醒尽快更新 DSM，但没指明本轮的具体 CVE，应急团队也提醒网传的"统一入口 CVE"跟官方口径对不上、别当结论转。说句公道话——长期挂在公网的 DSM 登录页是几十万台量级，真被加密的只是其中一小撮。损失面是三个条件的交集：挂在公网、没打补丁或弱口令、备份和机器在同一个地方。第三条，才是 DIY NAS 用户该盯的那条。知乎哔哩哔哩知乎
你数的是三份，攻击者数的是一份
典型的"三层保护"：RAID5 兜硬盘坏，每天自动快照兜误删，再往同机另一个文件夹或另一台 NAS 备份一份兜意外。
但这三层共用一台机器、一组盘、一个管理员账号。这轮的加密程序从根目录多线程遍历所有挂载的存储空间，日备份、周备份一并锁死——群晖的 Hyper Backup 目录只要没开多版本锁定或异地隔离，在它眼里就是另一块等着加密的普通盘。B站还有案例是"互相备份的两台 NAS 被一锅端"。两台机器不等于两个故障域，同一个账号够得着，就还是一层。知乎知乎知乎哔哩哔哩
RAID 只防硬盘坏，快照和源数据躺在同一个存储池上。所以你会反复听到那句：RAID 不是备份。你以为存了三份，其实是一份数据的三种写法。知乎小红书
快照救得了误删，救不了这个
误删这一关，快照确实好使，有人靠昨晚十点的自动快照，四十多 GB 十几分钟就拷回来了。但有两条硬边界。一，它一致的是文件系统结构，不是应用状态，拍到一半的事务恢复出来就是半截。二，你能删的快照，拿到管理员权限的加密程序也能删；真要防勒索，得靠连管理员都删不掉的锁定快照（WORM）——威联通在安全指引里写得很直白：同一台 NAS 上的快照，不能替代独立备份。知乎知乎
两条版本线，比新闻更该查
换个牌子不等于安全。TrueNAS 的 CVE-2026-123033 在 11 月 5 日公开：一段本该只在集群模式生效的高可用校验逻辑被无条件启用，同一局域网里用特定地址端口连上来，系统就当你自己人，直接给管理员权限，不要口令，单机社区版一样中招。修复版本 25.10.8——家里任何设备被拿下（哪怕打印机），停在 25.10.7 的机器就在射程里。这条不用等新闻，今晚就能对着版本号查。知乎
Unraid 更靠自觉：默认 root、共享权限偏粗、插件不经官方审核。它的 CVE-2025-29266（9.6 分，7.0.1 之前）成立条件是"容器用 Host 网络模式 + 开了 Tailscale"——两个都正常的功能凑一起出的事，高危端口清单里查不到，只能对着自己的配置逐条比。知乎
退路得是"这台机器写不到"的介质
数故障域，别数份数。冷盘写完就弹出断电，一直插着等于没做。对象存储就开不可变保留期，谁都改不了删不掉。最容易被跳过的是这条：备份不测试等于没有备份，随机挑一天的数据试恢复、计个时。哔哩哔哩知乎知乎
万一中招，第一件事反直觉
拔网线，然后什么都别动：别重启、别关机、别杀进程、别格式化重装。这条顺序反直觉，但它是后面所有可能性的前提。知乎知乎
`.L0CK3D` 每个文件一把独立 ChaCha8 密钥，而解开它们的会话 AES key 和 IV 只活在加密器的进程内存里。设备一重启，内存被回收，这条唯一"不用备份也能救回来"的路就断了。条件很苛刻：加密器还在跑、能提到同一次会话的密钥材料，缺一不可；实测加密速度 2–3 GB/s（仅该团队测试环境），发现得早才赶得上——开头那位"队友回来重启了服务器"，断掉的就是这个窗口。早期信号也记一下：有人早上收到一条文件损坏提醒没当回事，晚上才发现 NAS 一直狂响，远程登进控制台一看，磁盘可用空间已经归零。中间那几个小时，加密正在跑。知乎小红书小红书
说到底，能自己控制的就两个变量：补丁延迟有多长，退路有多硬。而群晖的用户协议里，对"数据和信息丢失"是免责的。出事没人赔，退路只能自己留。知乎知乎
